fix: render repository images in project READMEs

[TyreeZhao]

问题

项目「信息」页中的 README 无法展示仓库内相对路径图片：Markdown 图片显示为破图，原生 HTML 图片语法显示为文本。

Closes #957

修改范围

后端

• 新增受现有项目鉴权保护的 GET /api/v1/users/projects/{id}/tree/media 接口。
• 复用项目 blob 读取逻辑，支持按 path 和 ref 获取 README 图片。
• 仅允许 PNG、JPEG、GIF、WebP，并依据文件内容嗅探真实 Content-Type。
• 支持读取超过 GitHub Contents API 1 MiB 内联限制的仓库图片。
• 媒体读取上限为 10 MiB：已知大小时提前拒绝，未知大小时使用有界读取，避免无上限缓冲。
• 普通 blob 请求继续沿用原有读取路径，避免扩大既有接口的读取范围。
• 增加 ETag、private, no-cache、inline disposition 与 nosniff 响应头。

前端

• 为通用 Markdown 组件增加可选 resolveImageUrl 扩展点，不改变其他调用方的默认行为。
• 项目 README 基于 README 所在目录解析相对图片，并保留项目 ID 与当前分支。
• 支持父目录、仓库根路径、中文、空格和外部 HTTP(S) 图片。
• 拒绝 data:、javascript:、反斜杠和越出仓库根目录的路径。
• 在项目 README 场景启用经现有 rehype-sanitize 净化后的原生 HTML，以支持 <details> / <img>。
• 同步 Swagger 文档与生成的前端 Blob API 契约（format: "blob"）。

测试证据

• go test ./pkg/git/github ./biz/project/handler/v1 ✅
• go test -race ./pkg/git/... ./biz/project/... ✅
• npx --yes tsx --test test/readme-media.test.ts ✅（6/6）
• npm run lint ✅
• npm run build ✅
• jq empty backend/docs/swagger.json ✅
• Chrome 端到端验证 ✅
  • 两张 Markdown 相对图片均解码为 1440 × 1000
  • 一张原生 HTML 图片解码为 390 × 3390
  • 测试样本扩展名为 .png、实际内容为 JPEG，服务端正确返回 image/jpeg

构建仍会显示仓库环境已有的 Node.js 版本建议及大 chunk 提示，构建退出码为 0，与本次修改无关。

截图

修复后：Markdown 相对图片正常展示：

修复后：经安全净化的原生 HTML <img> 正常展示：